Beveilig de toegang van het applicatieplatform tot Google Cloud volgens de best practices van Google. Wat implementeert u?

Workload Identity is de aanbevolen methode om applicaties die op Google Kubernetes Engine (GKE) draaien, toegang te geven tot Google Cloud-services. Het koppelt een Kubernetes-serviceaccount aan een Google Cloud-serviceaccount, waardoor de applicatie de identiteit van het Google Cloud-serviceaccount kan aannemen en toegang krijgt tot resources met de bijbehorende IAM-rechten. Dit elimineert de noodzaak om serviceaccount-sleutelbestanden op te slaan en te beheren, wat een veelvoorkomende beveiligingsrisico is. Het direct opslaan van geheimen in Kubernetes Secrets (versluierd) is minder veilig omdat de geheimen nog steeds in de etcd-database van Kubernetes staan en toegankelijk kunnen zijn voor gecompromitteerde nodes of gebruikers met voldoende privileges. Application-Layer Secrets Encryption met Cloud KMS verbetert dit, maar Workload Identity is nog steeds superieur voor authenticatie en autorisatie. HashiCorp Vault implementeren op Compute Engine voegt extra complexiteit en beheer overhead toe, terwijl Workload Identity een native, geïntegreerde oplossing is.